印度CA機構eMudhra曝私鑰生成漏洞，全球瀏覽器緊急拉黑防範中間人攻擊

BlockBeats 消息，10 月 21 日，一起引發全球網路安全界高度關注的憑證頒發機構（CA）安全事件被曝光。印度 CA 機構 eMudhra 被安全研究人員發現，其簽發的 8 個中間憑證私鑰存在極其嚴重的生成缺陷。這些本應具有極高安全強度的私鑰，由於實作錯誤，其實際有效資訊僅相當於極小的整數（如 4、56、66 等），導致安全人員能在不到一秒的時間內將其完全破解。這一漏洞使得原本用於保障網路通訊安全的信任基石形同虛設。

中間憑證是 HTTPS 加密信任鏈中的關鍵環節，其私鑰一旦被輕易取得，攻擊者便可利用其偽造受信任的 HTTPS 憑證，進而針對銀行、信箱或任何受信任的網站發起中間人攻擊，攔截、竄改或竊取使用者的通訊資料。事件的根源並非外部駭客的惡意入侵，而是 eMudhra 在憑證生成環節出現了災難性的實作錯誤，生產出了安全性近乎於零的私鑰。

事件曝光後，全球主要瀏覽器與軟體廠商迅速採取了緊急防禦措施。Chrome、Firefox、Apple 以及 Microsoft 均已發布安全更新，將這 8 個存在風險的中間憑證列入黑名單，阻止使用者存取由它們簽發的虛假憑證。與此同時，eMudhra 公司自身也已正式吊銷了這些存在缺陷的憑證。此外，由於大量軟體依賴自帶的憑證信任庫，Go、Python、Rust 以及 Electron 等主流開發語言和框架也已緊急推送更新，在各自的生態內封禁了這些受影響的憑證。

截至目前，全球安全機構尚未發現這些脆弱的私鑰被惡意利用以簽發偽造憑證的證據。然而，考慮到龐大的物聯網設備以及未及時更新的舊版系統，全面清理這一安全隱患仍需時間。安全專家提醒使用者稱，當前最直接有效的防護措施是確保瀏覽器和作業系統處於最新版本，以便及時取得最新的憑證黑名單，保障自身的網路存取安全。